Pla de Contingència i Continuïtat de negoci
El complement ideal al Pla Director de Seguretat és el Pla de Contingència i Continuïtat de negoci que té com a principal missió protegir els principals processos de negoci a través d'un conjunt de tasques que permetin a l'organització recuperar-se després d'un incident greu en un termini de temps que no comprometi la continuïtat. D'aquesta manera es garanteix poder donar una resposta planificada davant de qualsevol fallada de seguretat. Això repercutirà positivament en la cura de la imatge i reputació com a organització, a més de mitigar l'impacte financer i de pèrdua d'informació crítica davant d'aquests incidents.
El Pla de Continuïtat TIC té com a objecte gestionar de la manera òptima en temps i forma una situació de crisi no prevista, reduint així els temps de recuperació i tornada a la normalitat. Per tant, és imperatiu que ho mantinguem actualitzat en tot moment i que la seva vigència sigui comprovada regularment.
Com passa amb la gestió de qualsevol risc, cal un marc global que inclogui polítiques, estratègies i procediments que assegurin que determinades operacions –en especial, les de caràcter més crític– puguin mantenir-se o recuperar-se com més aviat millor en cas de pertorbació greu del sistema.
La gestió de la continuïtat del negoci hauria d'incloure els següents components:
- Anàlisi de l'impacte sobre el negoci: A través d'aquesta anàlisi cal identificar les operacions i els serveis “crítics” per a l'entitat, els principals factors de què depèn la seva continuïtat (tant interns com externs), així com els nivells de protecció adequats davant de diferents possibles situacions.
- Estratègia de recuperació: Estableix els objectius i les prioritats de recuperació en funció dels resultats de l'anàlisi de l'impacte sobre el negoci. Ha d'incloure, entre altres aspectes, el “nivell objectiu de servei” que una entitat vol oferir en el cas que es presentin aquest tipus de problemes, així com el marc que permeti tornar a la situació inicial.
- Plans de continuïtat del negoci: Són guies detallades per a la implantació de l’estratègia de recuperació. Estableixen i assignen les funcions, responsabilitats i delegació de poders en cas que un succés de gravetat extrema afecti el personal clau duna entitat. Defineixen també els mecanismes d’activació dels plans de continuïtat.
- Programes de comprovació de l’eficàcia dels plans de continuïtat aprovats. Perquè la gestió de la continuïtat d'un negoci sigui efectiva cal comprovar periòdicament la capacitat de restabliment de les operacions crítiques segons els objectius marcats i modificar, si escau, el pla de continuïtat o altres aspectes de la gestió. Així mateix, és aconsellable que l'auditoria interna o externa valori l'efectivitat i els resultats dels programes de comprovació que realitzi l'entitat i que informi dels seus resultats els òrgans de govern i alta administració perquè aquests puguin, si escau, prendre les decisions adequades.
- Programes de divulgació i conscienciació entre el personal de l’entitat. Aquest tipus d'exercicis també contribueixen a divulgar la importància d'aquestes qüestions entre el personal de l'entitat, en especial, entre aquelles persones a qui se'ls pugui arribar a atribuir determinades responsabilitats en cas que es produeixi un succés de gravetat extrema.
- Programes de comunicació i gestió de crisis: Per poder gestionar una crisi i mantenir la confiança pública, és imprescindible que hi hagi un flux de comunicació clar i periòdic. Les entitats i les autoritats financeres han d'incloure en els seus plans de continuïtat de negoci procediments de comunicació tant dins de les seves organitzacions com amb terceres parts en cas que es produeixi un problema operatiu important.
Els principals indicadors que han de ser analitzats són:
- Temps de recuperació o RTO (Recovery Time Objective) . Aquest és el temps que un procés romandrà detingut abans que el seu funcionament sigui restaurat. Aquest valor té un alt component de subjectivitat.
- Temps màxim tolerable de caiguda o MTD (Maximum tolerable Downtime) . Aquest és el temps que un procés pot romandre caigut abans que es produeixin conseqüències desastroses per a la nostra organització.
El MTD està relacionat amb el negoci, mentre que el RTO serà determinat, per personal tècnic. En tots els casos, el RTO ha de ser inferior al MTD.
- Recursos humans i tecnològics emprats en el procés . En aquest punt hem de determinar les aplicacions, sistemes, equipament i elements auxiliars que cada procés necessita per al seu funcionament en una situació de contingència, així com els temps de recuperació que cada un d'ells tingui.
- Grau de dependència de l'actualitat de les dades o RPO (Recovery Point Objective) . Aquest valor determina l'impacte que té sobre l'activitat la pèrdua de dades. Aquest valor és crític a l'hora de determinar les polítiques de còpies de l'organització, i no guarda relació amb el RTO vist anteriorment.
Com fer aquest Pla ??
El Pla de Contingència i Continuïtat ha d’estar integrat amb el negoci de manera que eviti que el temp d’aturada interrompi la continuïtat més del necessari, i per això cal:
1. Identificar les operacions crítiques
En l'elaboració del Pla de Contingència i Continuïtat el primer que cal fer és el mapa dels processos per determinar-ne la criticitat. Això comporta l'obtenció, elaboració i comprensió dels processos i recursos de l'organització que quedarien impactats. Per a això, és important que involucrem a múltiples actors, no només de l'àmbit tecnològic. L'anàlisi es realitzarà sempre des del punt de vista de negoci. I contindrà els requisits temporals i de recursos per a poder definir les iniciatives necessàries per recuperar els processos en situació de contingència.
Cal doncs, identificar quines operacions són fonamentals pel funcionament de l’organització, ja que la seva interrupció afectaria la capacitat operativa. Això es pot fer en funció de:
· El tipus de serveis i productes proporcionats.
· La mesura en què l'organització ha d’operar des de una ubicació diferent.
Entenent millor les vulnerabilitats que existeixen, ja siguin específiques de l'organització o exclusives pel negoci, es podran abordar els canvis que cal implementar per augmentar l’estratègia de ciberseguretat.
Aquest esforç comportarà la identificació de quins riscos impedirien les operacions dels diferents departaments.
Algunes de les preguntes que ens hem de fer són:
· Quins elements són tan essencials que no podem sobreviure sense l'accés instantani a ells?
· Quina informació o dades emmagatzemem que, si es perdès, posariem en risc els clients?
· Quines dades s'han de protegir per mantenir la privacitat i la propietat intelectual inalterades?
2. Avaluar escenaris de desastres
Avaluació dels diferents escenaris de desastres i com afectarien el negoci, i quins són els procediments adequats per a cada escenari. És necessari determinar els objectius mínims, els de recuperació i la cronologia un cop aparegui el desastre.
Un pla de contingència i continuïtat únic no sempre funciona per a tots els escenaris. Calen protocols diferents, si descobrim que un empleat descontent ha compromès la seguretat de l’empresa, que si rebem un atac de ransomware.
3. Crear un pla de comunicació
Independentment del tipus de desastre que passi, un pla de comunicació és essencial per garantir la continuïtat del negoci:
· És imprescindible un pla d’acció per assegurar que els clients entenen el que ha passat i indica’ls-hi com es poden posar en contacte amb nosaltres si els cal. I per donar-los-hi la tranquil·litat que tot està controlat.
· Si els sistemes de telefonia estan compromesos, assegurar-nos que algú estigui nomenat per assumir la responsabilitat de comunicar-se a través de les xarxes socials i supervisar les xarxes socials per a les consultes dels clients.
· Si es produeix una fuita de dades, el pla de comunicació també ha d’incloure tant les comunicacions normatives requerides com les comunicacions de relacions públiques per assegurar als clients les accions que feu per protegir-les.
· Cal assignar les persones específiques a rols clarament definits.
· També ha d’incloure informació de contacte d’emergència per l’equip de serveis que ajudarà durant el procés de recuperació.
4. Elaborar un pla recuperació de dades
La planificació d'un desastre de qualsevol tipus és essencial per a qualsevol empresa que vulgui continuar sent funcional, ja sigui que es produeixi un mal funcionament (una fallada de servidor, un empleat que suprimeix la informació essencial) o si una situació greu amenaça de trencar completament la continuïtat del negoci.
És fonamental tenir previst un pla per minimitzar els danys que se’n deriven.
Un pla de resposta sòlid consisteix en un equip de personal de TI dedicat a solucionar el problema, supervisar la intrusió addicional i contenir la violació de dades existent.
Definir els rols dels empleats
De la mateixa manera que cada empleat té un paper en el manteniment de la seguretat de l’organització, cada empleat pot tenir un paper en la recuperació. Es poden delegar funcions per departament, però cada persona hauria de contribuir a ajudar l’empresa a recuperar-se.
Identificar dades de missió crítica
Una de les consideracions més importants a l’hora de crear un pla de contingència i continuïtat d’una organització és determinar quina informació és crucial per mantenir operatiu el negoci.
Idealment, podem crear un pla de recuperació de desastres prou exhaustiu per mantenir-nos operatius en qualsevol situació i prou flexible per satisfer les necessitats específiques.
Des de les dades del client fins als processos segurs, una còpia de seguretat guardada en un altre lloc hauria d’incloure la informació necessària per continuar operant si no és opcional tornar a la ubicació principal. Aquesta informació pot incloure correus electrònics, documents, contractes, imatges, registres fiscals, sol·licituds i altres elements necessaris per dur a terme les operacions quotidianes.
Establir el pla per escrit, especificant no només el que s'ha de recuperar, sinó també el lloc on es podria recuperar si la xarxa pròpia es troba en perill.
El pla ha d'incloure:
· Una llista de comprovació de tots els equips i dades necessaris per funcionar.
· Informació de contacte de l'equip de recuperació les 24 hores.
· Llocs alternatius de treball i reunions.
· Tasques de comunicació i passos d'acció.
· Una llista de comprovació amb tots els passos que cal fer i qui els té assignats per garantir la seva realització.
· Establir un seguiment post-desastre.
La informació obtinguda de qualsevol desastre experimentat es pot utilitzar per crear una millor resposta al següent desastre.
Totes les infraccions ofereixen tant a l’organització que la experimenta com a tothom un recordatori de la importància de les mesures de seguretat proactives.
5. Posar a prova el pla
Un cop desenvolupat el pla de recuperació de desastres, cal provar-lo.
- Executant un simulacre en què es produeixi un desastre on simulem un incompliment.
- Posant a prova el vostre equip per assegurar-vos que no hi hagi buits al vostre pla.
Si identifiqueu buits de comunicació, buits de seguretat o altres problemes, cal enfortir el pla amb passos addicionals.